मोजिला VPN क्लाइन्ट अडिट परिणाम प्रकाशित

Mozilla ले Mozilla VPN सेवामा जडान गर्नको लागि क्लाइन्ट सफ्टवेयरको स्वतन्त्र अडिट पूरा गरेको घोषणा गरेको छ। लेखापरीक्षणमा Qt पुस्तकालय प्रयोग गरेर लेखिएको र लिनक्स, macOS, Windows, Android र iOS को लागि उपलब्ध स्ट्यान्ड-अलोन क्लाइन्ट अनुप्रयोगको विश्लेषण समावेश गरिएको थियो। Mozilla VPN 400 भन्दा बढी देशहरूमा अवस्थित स्वीडिश VPN प्रदायक Mullvad को 30 भन्दा बढी सर्भरहरूद्वारा संचालित छ। VPN सेवामा जडान WireGuard प्रोटोकल प्रयोग गरी बनाइन्छ।

अडिट Cure53 द्वारा गरिएको थियो, जसले एक पटक NTPsec, SecureDrop, Cryptocat, F-Droid र Dovecot परियोजनाहरूको लेखापरीक्षण गरेको थियो। लेखापरीक्षणले स्रोत कोडहरूको प्रमाणीकरणलाई समेटेको छ र सम्भावित कमजोरीहरू पहिचान गर्न परीक्षणहरू समावेश गरेको छ (क्रिप्टोग्राफीसँग सम्बन्धित मुद्दाहरूलाई विचार गरिएन)। लेखा परीक्षणको क्रममा, 16 सुरक्षा मुद्दाहरू पहिचान गरियो, जसमध्ये 8 सिफारिसहरू थिए, 5 जोखिमको निम्न स्तर तोकिएको थियो, दुईलाई मध्यम स्तर तोकिएको थियो, र एकलाई उच्च स्तरको खतरा तोकिएको थियो।

यद्यपि, मध्यम गम्भीरता स्तर भएको एउटा मात्र मुद्दालाई जोखिमको रूपमा वर्गीकृत गरिएको थियो, किनभने यो मात्र शोषणयोग्य थियो। यो समस्याले VPN टनेल बाहिर पठाइएका गुप्तिकरण नगरिएका प्रत्यक्ष HTTP अनुरोधहरूको कारणले क्याप्टिभ पोर्टल पत्ता लगाउने कोडमा VPN प्रयोग जानकारीको चुहावटको परिणाम हो, यदि आक्रमणकारीले ट्राफिक ट्राफिक नियन्त्रण गर्न सक्छ भने प्रयोगकर्ताको प्राथमिक IP ठेगाना प्रकट गर्दछ। सेटिङहरूमा क्याप्टिभ पोर्टल पत्ता लगाउने मोड असक्षम गरेर समस्या समाधान गरिएको छ।

मध्यम गम्भीरताको दोस्रो समस्या पोर्ट नम्बरमा गैर-संख्यात्मक मानहरूको उचित सफाईको अभावसँग सम्बन्धित छ, जसले OAuth प्रमाणीकरण प्यारामिटरहरूको चुहावटलाई अनुमति दिन्छ पोर्ट नम्बरलाई स्ट्रिङको साथ बदलेर।[ईमेल सुरक्षित]", जसले ट्याग स्थापना गर्न नेतृत्व गर्नेछ[ईमेल सुरक्षित]/?code=..." alt=""> 127.0.0.1 को सट्टा example.com पहुँच गर्दै।

तेस्रो मुद्दा, खतरनाक रूपमा फ्ल्याग गरिएको, प्रमाणीकरण बिना कुनै पनि स्थानीय अनुप्रयोगलाई स्थानीयहोस्टमा बाँधिएको WebSocket मार्फत VPN क्लाइन्ट पहुँच गर्न अनुमति दिन्छ। उदाहरणको रूपमा, यो देखाइएको छ कि कसरी सक्रिय VPN क्लाइन्टको साथ, कुनै पनि साइटले screen_capture घटना उत्पन्न गरेर स्क्रिनसटको सिर्जना र पठाउने व्यवस्था गर्न सक्छ। वेबसकेट आन्तरिक परीक्षण निर्माणमा मात्र प्रयोग भएको हुनाले समस्यालाई जोखिमको रूपमा वर्गीकृत गरिएको छैन र यस सञ्चार च्यानलको प्रयोग ब्राउजर एड-अनसँग अन्तर्क्रिया व्यवस्थित गर्नको लागि मात्र योजना गरिएको थियो।

स्रोत: opennet.ru